جرمی ولچ مدیرعامل فعلی شرکت کاسا طی سخنرانی خود در گردهمایی Baltic Honeybadger 2019 که در شهر ریگا برگزار شده بود، به تهدیدات امنیتی مختلف مرتبط با بیت کوین پرداخت و توضیحاتی به افراد حاضر در جلسه ارائه کرد. در بخش‌هایی از این سخنرانی، وی ۱۳ نمونه از روش‌های احتمالی که باعث می‌شوند کاربران دسترسی به دارایی‌های خود را از دست بدهند را مورد بررسی قرار داد.
۱۰ مورد از تهدیدات نام برده شده توسط وی مربوط به حمله‌ی هکرها بود که به مواردی از قبیل خطای کاربری یا نقص سخت‌افزاری مربوط نمی‌شوند. در این مقاله به ۱۰ مورد نام برده شده که با استفاده از آن‌ها می‌توان به کلید‌های خصوصی شما و درنهایت دارایی رمزارزیتان دسترسی پیدا کرد، پرداخته شده است.
حملات فیشینگ(Phishing)
اولین نوع تهدید که توسط آقای ولچ مورد بررسی قرار گرفت، حملات فیشینگ بود. به گفته‌ی وی، در اینگونه حملات مهاجم با استفاده از یک نسخه‌ی جعلی از یک وب‌سایت قانونی، اساسا کاربر را ترغیب می‌کند که اطلاعات خود را در اختیار وی قرار دهد. در این روش وقتی کاربر بر روی لینک یک وب‌سایت جعلی کلیک می‌کند، با صفحه‌ای روبرو می‌شود که ظاهری کاملا قانونی و معمولی دارد، اما پس از وارد کردن اطلاعات شخصی خود در بخش‌هایی که از وی خواسته شده، در واقع تمام اطلاعات را برای هکر ارسال می‌کند. حملات بروزرسانی نرم‌افزاری(Software upgrade attacks که در آن‌ها از کاربر خواسته می‌شود با مراجعه به یک وب‌سایت خاص نرم‌افزار مورد استفاده‌ی خود را بروزرسانی کند) که چندی قبل به کیف‌پول Electrum وارد شده بود نیز زیرمجموعه‌ی این دسته از حملات قرار می‌گیرد.
دزدی سیم‌کارت یا حملات تعویض سیم‌کارت
حملات دزدی سیم‌کارت برای مدتی به یک مشکل جدی تبدیل شده بود و شرکت‌های ارائه دهنده‌ی خدمات تلفن همراه هم علاقه‌ای به حل و رفع این مشکل نداشتند. گرچه اینگونه حملات قبلا برای هک کردن حساب‌های آنلاین سنتی مورد استفاده قرار می‌گرفت، اما با ظهور بیت کوین و تایید هویت دو مرحله‌ای مبتنی بر پیام کوتاه، هکرها برای اینکه بتوانند به دارایی کاربران دسترسی پیدا کنند تنها نیاز دارند تا شماره‌ی تلفن همراه قربانی را به دستگاه یا سیم‌کارت خود انتقال دهند.
در این روش هکر پس از تماس با شرکت‌های ارائه دهنده‌ی خدمات تلفن همراه، اعلام مفقودی سیم‌کارت کرده و با ارائه‌ی مشخصات، شماره تلفن قربانی را به یک سیم‌کارت جدید انتقال می‌دهد. حال این هکر می‌تواند با استفاده از تایید هویت دو مرحله‌ای مبتنی بر پیام کوتاه به دارایی‌های قربانی دسترسی پیدا کند. آقای ولچ طی سخنرانی خود در رابطه با این موضوع اظهار داشت «متاسفانه این روش به طرز چشم‌گیری در حال افزایش است، و شرکت‌های ارتباطی هم تلاشی در راستای حل این مشکل انجام نمی‌دهند».
در این روش هکر زیرساخت‌هایی را مورد هدف قرار می‌دهد که یک کاربر بیت کوین جهت دسترسی به نرم‌افزار‌های تحت وب مختلف به آن‌ها نیاز دارد. نمونه‌ای از اینگونه حملات را می‌تواند در حمله به کیف‌پول آنلاین MyEtherWallet مشاهده کرد؛ چندی قبل این پلت‌فرم ارائه دهنده‌ی کیف‌پول رمزارزی توسط هک DNS مورد حمله قرار گرفت و بخش زیادی از دارایی‌های تحت مدیریت خود را از دست داد.
حملات مبتنی بر بدافزارها اغلب شامل حملات فیشینگ نیز هستند تا کاربران را نسبت به دانلود و استفاده از یک بدافزار خاص ترغیب کنند. این بدافزار به مهاجم اجازه می‌دهد تا جزئیات حساب، کلید‌های خصوصی و موارد بسیار دیگری را به سرقت ببرد.
حمله به زنجیره‌ی تامین
اهمیت و تهدیدات مربوط به «حملات زنجیره‌ی تامین» توسط اغلب کاربران بیت کوین به درستی درک نشده است. اینگونه حملات معمولا شامل اضافه کردن یک کد یا سخت‌افزار مخرب به دستگاه‌های محبوبی همچون کیف‌پول‌های سخت‌افزاری است.
آقای ولچ طی سخنرانی خود در رابطه با این موضوع اظهار داشت «بسیار از مردم فکر می‌کنند که اینگونه حملات تنها در صورتی رخ می‌دهد که شرکت سازنده این کار را انجام دهد، اما ممکن است به طور بالقوه یک کارمند یا همکار سرکش نیز در اینگونه شرکت‌ها وجود داشته باشد». وی در ادامه توضیح داد:
بسیار از مردم نمی‌دانند که چند کمپانی تا به امروز تولید محصولات خود را متوقف کرده است. حتی بسیاری از کمپانی‌های تولیدکنندهی بزرگ و نام‌آشنا نیز این کار را انجام داده‌اند. بنابراین، ممکن است یک شریک تولیدکنندهی سرکش، یک کارمند یا حتی یک نماینده‌ی دولتی سرکش به اینگونه شرکت‌ها نفوذ کرده باشد. Jeremy Welch
علاوه بر امنیت رایانه‌ای، کاربران استفاده کننده از رمزارز بیت کوین باید به فکر امنیت فیزیکی نیز باشند. حملات فیزیکی معمولا با نام «حملات آچار ۵ دلاری» نیز شناخته می‌شوند، زیرا هیچ سطحی از رمزنگاری و یا امنیت داده نمی‌تواند مانع از حمله‌ی یک فرد مهاجم آچار به دست برای گرفتن اطلاعات شخصی و اطلاعات مربوط به حساب کاربری از دارندگان رمزارز شود.
آدم ربایی، شکنجه و یا اخاذی نیز می‌تواند در اینگونه حملات وجود داشته باشد. طبق گفته‌ی آقای ونچ، از آنجا که قیمت بیت کوین روز به روز در حال افزایش است، متاسفانه وقوع گاه و بی‌گاه اینگونه حملات نیز افزایش چشم‌گیر داشته است. به گفته‌ی وی «قابل حمل بودن و تغییر ناپذیری بیت کوین باعث شده که بازگردانی این رمزارزی بسیار سخت و گاها ناممکن باشد. بنابراین زمانیکه اینگونه حملات موفقیت‌آمیز واقع شوند، بازیابی وجوه دزدیده شده بسیار سخت خواهد بود».
آقای ولچ توقیف بیت کوین توسط دولت‌ها را هم یک نوع تهدید برای کاربران توصیف کرد که می‌توان آن را زیرمجموعه‌ی سرقت دارایی با استفاده از تهدید و خشونت محسوب نمود.
حمله به نزدیکان
این مورد نیز زیرمجموعه‌ی «تهدیدات فیزیکی» قرار می‌گیرد. در اینگونه موارد به جای تهدید و خشونت علیه دارنده‌ی رمزارز، معمولا یکی از آشنایان و یا حتی حیوان خانگی او تهدید به خشونت می‌شود. البته اینگونه حملات و تهدیدها مختص بیت کوین نیستند، اما کاربران این رمزارز همیشه باید برای تمام خطرات احتمالی آماده باشند.
این نوع حمله از داخل شامل حضور یک کارمند در یک شرکت رمزارزی، مانند صرافی‌ها و یا ارائه دهندگان کیف‌پول رمزارزی است. اینگونه افراد از موقعیت خود سوءاستفاده کرده و با دسترسی به پایگاه‌های داده‌ی شرکت، اطلاعات شخصی مشتریان را بدست آورده و یا به صورت مستقیم از حساب آن‌ها دزدی می‌کنند.
حملات هاستینگ یا پلت‌فرمی
امروزه بخش اعظم وب بر روی چند قطعه‌ی متمرکز از زیرساخت‌های فضای ابری ساخته است، یک فضای ابری به شدت متمرکز که برای هکرها به شکل صندوقچه‌ای پر از گنج دیده می‌شود. در اینگونه حملات فرقی نمی‌کند که هکر به طور مستقیم گره‌ی کاربران و یا یک صرافی رمزارزی را مورد هدف قرار دهد.
جرمی ولچ طی صحبت‌های خود با اشاره به رویداد هک میزبان وب Linode در سال ۲۰۱۲ توضیح داد که «تمام داده‌ها در یک مکان جمع‌آوری شده‌اند، بنابراین زمانی که به آن‌ها حمله کنید و به این سرورهای ابری دسترسی پیدا کنید، معمولا می‌توان خیلی سریع به حجم زیادی از اطلاعات دسترسی پیدا کرد، این امکان وجود دارد که از این اطلاعات سوءاستفاده شده و به کاربران حمله شود».
حملات وابستگی به کد(Code Dependency)
اینگونه حملات معمولا شباهت زیادی به حملات هاستینگ یا پلت‌فرمی دارند، زیرا شامل یک ارائه دهنده‌ی خدمات مربوط به بیت کوین هستند که به زیرساخت‌های خارجی متکی است. پلت‌فرم‌هایی که به ابزار‌های شخص ثالث همچون Google Analytics و Mixpanel تکیه دارند، باید اطمینان حاصل کنند که این پایگاه‌های رمزگذاری شده‌ی خارجی به آن‌ها کدهای جاوا اسکریپت مخرب معرفی نکرده باشد.
آیا تا به حال با یکی از این روش‌ها برخورد داشته‌اید؟ تجربیات خود را با ما به اشتراک بگذارید.
